経産省が「営業秘密管理指針(全部改訂版)」を発表しました

経産省が、平成27年1月28日に「営業秘密管理指針(全部改訂版)」を発表しました。

会社の企業秘密が盗まれたような場合に、会社がその企業秘密を盗んだ相手を訴えよう、あるいは相手に使うなと差止めたいと思っても、常に訴えが認められるわけではありません。
会社が法的に保護されるのは、盗まれたりした企業秘密が、不正競争防止法の「営業秘密」に該当する場合に限られます。

「営業秘密」として法的に保護されるためには、秘密管理性、非公知性、有用性が必要です。
秘密管理性、つまり、会社が秘密に管理していたと認められるためのハードルが、過去の裁判例では非常に高く、そのため、会社が「企業秘密なので保護したい」と考えていても、裁判所が「秘密管理性がないので、『営業秘密』には該当しない。法的には保護できない」という結論になることが多々ありました。

では、会社が秘密に管理していたといえるためには、どうしたらいいか?
会社がどの程度、厳重に管理していれば、秘密に管理していたといえるのか?

その一つの目安になるものを、経産省が「営業秘密管理指針(全部改訂版)」として発表した、ということです。

全部で17頁なので、簡単に読めると思います。ぜひ、ご一読を。

個人情報漏えい対策は、セキュリティを強化するだけでは三流

ベネッセの個人情報漏えい事件を見て、自社の個人情報保護体制を見直さなければならない

先日の個人情報漏えい事件を受けて、この機会に、自社の個人情報の管理体制を見直している企業も多かろうと思います。

法律的なことを言えば、取締役・取締役会は、業務適正確保体制、いわゆる内部統制システムの一貫として、情報の保存及び管理に関する体制を整備しなければならないので、個人情報の保存及び管理に関する体制も整備しなければなりません。
整備というのは、他社で個人情報の漏えい事件が発生したときに、自社にて、今回と同様の個人情報の漏えいが発生しないかを再度確認し、確認の結果、防止できないと判断したら、防止できるように改善措置を講じる、ということも含みます。

つまり、漫然と「ベネッセ、大変だな」と新聞記事を眺めているだけではダメなのです。

個人情報の保存・管理体制を確認し、改善する際の3つのポイント

自社の個人情報の保存・管理体制を見直す際、考えもなく、お金を掛ければいいというものではありません。
自社の体制を見直し、ベネッセ同様の事件が発生しないか確認し、改善策を講じるにあたっては、3つのチェックポイントがあります。

  • 1つめは「物的」管理ができているか
  • 2つめは「組織的」管理ができているか
  • 3つめは「人的」管理ができているか

おそらく、多くの会社は、今回のベネッセの事件を受け、1つめの「物的」管理、2つめの「組織的」管理ができているかに力を注いで、個人情報の保存・管理体制が万全かをチェックすることと思われます。
しかし、本当に重要なのは、3つめの「人的」管理の部分です。

とはいえ、「物的」管理、「組織的」管理、「人的」管理ってなんのこっちゃ?という方もいらっしゃるでしょうから、まずは、ここから噛み砕きます。

個人情報保存・管理体制のうち「物的」管理の見直しだけやるのは、三流の会社

チェックポイントの1つめに挙げた「物的」管理というのは、わかりやすく言えば、社内のシステムです。
一番身近な例でいえば、個人情報を保存するデータサーバは社内の共有サーバから隔離されているか、個人情報を保存するデータサーバにアクセスできる権限を持っている者は限られているか、といったものです。

今回のベネッセ事件では、下記のような方法で情報が漏えいしたと発表されています。

「今般、㈱シンフォームの業務委託先の元社員が、担当業務のために付与されていたアクセス権限により、お客様情報が保存されたデータベースにアクセスし、不正にお客様情報を社外に持ち出し、名簿事業者に売却しておりました。」

「その後の調査により、当該元社員が弊社データベースからお客様情報を不正に社外に持ち出していたと推測しております。概要は以下の通りです。

  • 元社員は、当該業務に従事している期間中、複数回、データベースにアクセスしていたログが確認されております。
  • 元社員は、担当業務のために今般お客様情報を不正に持ち出したデータベースへの正規のアクセス権限を付与されておりました。
  • そのアクセス権限により、元社員は、データベースにアクセスし、お客様情報を閲覧し、データを取得しておりました。」(2014年7月17日付ベネッセホールディングスのプレスリリースより)

 

「当該元社員は弊社のお客様情報を、私物のスマートフォンにコピーして持ち出していたことが判明しております。今般、警察の要請を受け、弊社がスマートフォンに残されていた情報を鑑定した結果、弊社の顧客データとすべて一致することを確認いたしました。」(2014年7月21日付ベネッセホールディングスのプレスリリースより)

つまりは、下請け先の社員が、担当業務のために与えられていた正規のアクセス権限を利用してデータベースにアクセスしたところ、お客様情報を閲覧し、データを取得できてしまった、しかも、私物のスマートフォンにデータをコピーしていた、ということです。

ここから、まず、「物的」管理として、アクセス権限でどこまでの情報にアクセスできるようにするのか、誰にどのレベルのアクセス権限を与えるのか、また、データベースに保存されているデータをスマートフォンをはじめとする記録媒体にコピーできるようにしていていいのかを見直さなければならないことがわかります。

しかし、これは、あくまで、個人情報が漏えいした表面的な部分です。
今回のベネッセの件で、このような方法で個人情報が漏えいしたからという理由で、この「物的」管理を見直すことは、お金さえあれば、誰でもできます
要は、「物的」管理の見直しをするだけの会社は、三流の個人情報保存管理体制と言って良いと思います。

「組織的」管理の見直しも、個人情報保存・管理体制の整備としては不十分

「組織的」管理というのは、わかりやすく言えば、アクセス権限の保管は誰が行なう、データのコピーをするときには誰かの承認を必要とするなどといった、社内の手続規程の射程のものだと理解していいと思います。
おそらく、個人情報の保存・管理体制を整備している会社の多くは、社内手続規程は整備されていると思います。
そのため、今回のベネッセの件を受けて、社内手続規程を見直すにしても、規程を作り直すなどといった新たに行なうことはないと思われます。

強いて挙げれば、これまで社内では、パソコンにUSBメモリ(フラッシュメモリ)やCD-ROMなどの記録媒体を接続して、データをコピーしてはいけない、データをコピーする場合には上司の許可や申請、立ち会いが必要などといったことまでは定めていた。しかし、パソコンにスマートフォンを接続してはいけないとは定めていなかった。
このことに気づいて、スマートフォンの取扱いについて新たに規程を作るという会社はあるかもしれません

詳しく述べようとすると、BYOD(Bring Your Own Device)の話にまで拡がっていく問題です。

先に書いた「物的」管理だけではなく、「組織的」管理まで見直すこと。
ここまでやれば、三流ではありません。しかし、一流であるとも言い切れません。

個人情報保存・管理体制の見直しで一番重要なのは、「人的」管理の見直し

「物的」管理の見直しだけでは三流、「組織的」管理の見直しまでやれば三流ではないにせよ一流とまでは言えない(二流?)。
では、一流の会社はどこまで行なうか。
それは、今回の件をきっかけに「人的」管理の見直しを行なう会社が一流です。

「人的」管理、つまりは、会社の中で、個人情報にアクセスできる権限を与える人の見直し、誰に権限を与えたら良いかを役職で考えるのではなく人ごとに考える、また、各人の個人情報保護に対する意識を高めていくということです。

後者は、役職員に対する研修です。
他方、前者は何かといえば、個人情報にアクセスできる権限を与えてもいい人はどんな素養がある人なのかを考え、場合によっては今までアクセス権限を与えていた人から権限をはく奪する、今までアクセス権限を与えていなかった人に権限を与える、ということです。

とはいっても、「アクセス権限を与えてもいい人かどうか、個別には判断できないし、角が立つ。だから、組織的に役職・階層別に与えている」という声も聞こえてきそうです。
しかし、過去の個人情報の漏えい事件をちゃんと分析すると、個人情報を故意に漏えいする人には共通点があることがわかります。
それは、「借金がある人」「お金に困っている人」です。

今回のベネッセ事件の動機は「家族の入院やギャンブルで170万円ほどの借金があり、生活に困っていて金が欲しかった」などと報道されています。

直近で最もメジャーな個人情報漏えい事件であった、「証券会社のシステム部部長代理による個人情報漏えい事件」。
この事件もまた、システム部部長代理がサービス残業によるストレス解消のためにキャバクラに通い、500万円を超える借金があったことが動機であったと報じられました。

他のいくつかの事件もまた、同様に借金が原因であったりします。

ここからわかるのは、「人的」管理の見直し策の一つとしては、「借金がある人」「お金に困っている人」には、そもそも個人情報へのアクセス権限を与えないという運用をしていかなければならないことがわかります。

ただ、「人的」管理の問題は、これだけでは終わりません。

そもそも借金を作った原因はなんだったのか。
証券会社のケースでは、発端は「サービス残業によるストレス」でした。
ということは、「人的」管理の問題は、サービス残業でストレスが溜まるような職場環境を変える、もっといえば、人の配置、人員増強など、そもそも、会社の業務体制そのものの見直しを行なうということに行き着きます

今回のベネッセの事件をきっかけに、「人的」管理として、日常の業務まで見直すことができれば、一流といっていいと思います。

ベネッセホールディングス事件に見る個人情報漏えい時の企業のあるべき対応

ベネッセホールディングスでの個人情報漏えい

7月9日、ベネッセホールディングスで、お客様情報約760万件が漏えいし、その数は最大で約2070万件に及ぶ可能性があることが発表されました。

「このたび、ベネッセコーポレーション(以下「弊社」といいます。)のお客様情報約 760 万件が外部に漏えいしたことが確認されましたので、ご報告申し上げます。お客様情報が漏えい
したと思われるデータベースに保管されている情報の件数から推定すると、最大約 2,070 万件のお客様情報が漏えいしている可能性があります。」
(ベネッセホールディングス、2014年7月9日付プレスリリースより)

今回は、この件を通じて、企業が個人情報を漏えいした場合の対応について考えてみます。

個人情報漏えい時の企業内で行うべき対応については、過去に一通り書いたことがありますので、そちらもあわせてご確認ください。

個人情報漏えい時の対応でもっとも重要なことは、お客様の不安感を払拭すること

企業が個人情報を漏えいしたことについて対応する際、念頭に置いておくべきことは、お客様の不安感です。

その企業のお客様の誰でもが、次のような思いを抱きます。
担当者自身が「自分が個人情報を預けた立場」になって考えてみればわかるはずです。

  • 「私の個人情報が漏えいしたのではないか?」
  • 「どんな個人情報が漏えいしたのだろう?」
  • 「漏えいした個人情報は回収できないのか?」
  • 「いったい、これから私の身に何が降りかかるのだろう?」
  • 「会社として責任はどうとるつもりなのか(怒)」

そうだとすれば、企業としては、こうしたお客様の不安感を拭い去るように対応をしていかなければならない、ということになります。

その意味で、ベネッセホールディングスのプレスリリースが冒頭で「お客様をはじめとする皆様に、多大なご心配・ご迷惑をおかけいたしますことを、深くお詫び申し上げます。」と謝罪していることは、事件の本質を理解した謝罪文であると評価できます。

漏えいした個人情報の内容と範囲を特定する

「私の個人情報が漏えいしたのではないか?」「どんな個人情報が漏えいしたのだろう?」という不安を払拭するためには、漏えいした個人情報の内容と範囲を特定する必要があります。

ベネッセホールディングスのプレスリリースの内容

ベネッセホールディングスのプレスリリースでは、「漏えいしたお客様情報」と題して、次のように、漏えいした個人情報の内容と範囲を特定しています。

<該当するお客様>
現在、漏えいしたと考えられるのは、弊社が提供する通信教育サービス等のお客様に関する情報約 2,070 万件、うち、漏えいが確定している情報は約 760 万件です。該当する情報は別紙に記載するサービスをご利用いただいている(または過去ご利用いただいていた)お客様の情報です。

<漏えいが確認されている情報項目>
漏えいしたことが確認された情報項目は以下の通りです
 郵便番号
 お客様(お子様とその保護者)のお名前(漢字およびフリガナ)
 ご住所
 電話番号(固定電話番号または携帯電話番号)
 お子様の生年月日・性別
クレジットカード番号・有効期限、金融機関の口座情報、成績情報など上記項目以外の漏えいは確認されておりません

また、今般のお客様情報の漏えいは特定のデータベースからのものであり、漏えいしたリストを入手しデータ内容を調査した結果、別紙記載の商品・サービス以外のお客様情報を保管しているデータベースには、異常がないことを確認しております。

漏えいした個人情報の数の最大可能性を最初に摘示したことの重要性

ベネッセホールディングスのプレスリリースは、まず「お客様に関する情報約 2,070 万件、うち、漏えいが確定している情報は約 760 万件」と、最大数と確定数を両方記載しています。
これは、2070万件以上は漏洩していません、ということで、お客様を安心させるために必要な記載です。

もし、この記載がなく「漏えいが確定している情報は約760万件」とだけリリースして、後日になって、「約760万件以上の個人情報が漏えいしていることが発覚しました。実は1000万件でした」「さらに調査したら、約1500万件漏えいしていました」「いや実は・・・」などと訂正を繰り返したら、どうでしょう。
お客様は「もっと漏えい件数が増えるのではないか?」と不安になります。
そうした不安を抱かせないためには、最初から「最大で○○件の可能性」ということを明示していたほうが、事態は早期に収束しやすいのです。

漏えいした個人情報は、どのサービスを利用したお客様なのかを摘示することの重要性

あわせて、ベネッセホールディングスのプレスリリースでは、「該当する情報は別紙に記載するサービスをご利用いただいている(または過去ご利用いただいていた)お客様」「別紙記載の商品・サービス以外のお客様情報を保管しているデータベースには、異常がないことを確認しております」と記載し、どのサービスを利用したお客様の個人情報が漏えいした可能性があるということを明言しています。

これもまた、これ以外のサービスしか利用していないお客様は個人情報が漏えいしていないから安心してください、というメッセージを伝えるものです。

漏えいした個人情報の内容を特定することは、最重要

しかも、ベネッセホールディングスのプレスリリースは「漏えいしたことが確認された情報項目は以下の通りです」「クレジットカード番号・有効期限、金融機関の口座情報、成績情報など上記項目以外の漏えいは確認されておりません」と、漏えいした個人情報の内容を特定しています。

これによって、「もしかしたら、クレジットカードが悪用されるのではないか」「金融機関の口座からお金を抜かれるのではないか」「子どもの成績が表に出てしまうのではないか」などという不安を払拭することができます。

個人情報を漏えいしたということで生じるお客様の不安を一つずつ取り除いていく。
そのためには、こうした個人情報の内容の特定というのは、意味があることです。

ベネッセホールディングスでの個人情報漏えい対応の最大の特徴=Webサイトの最大活用

これまでの個人情報漏えい事件でも、企業のWebサイトに個人情報漏えいについての情報を掲載することは行われていました。
ただ、今回のベネッセホールディングスの場合、過去の個人情報漏えい事件とは比較にならないほど、Webサイトが充実していることも特徴です。
これは、ベネッセホールディングスが B to C を業態とする会社であり、一般消費者に向けての情報発信を怠れば、企業としての信頼を失う可能性が高いということからではないかと推察できます。

企業Webサイトのトップページの頭に、個人情報漏えい事件についての専用ページへのリンクを掲載

ベネッセホールディングスでは、会社の公式サイトのトップに、個人情報漏えい事件についての専用ページへのリンクを掲載しています。

Benesse  ベネッセグループ

赤く囲ったのは私が注釈したものです。
謝罪と専用ページへのリンクがわかりやすく掲載されているのは評価されて良いと思います。

プレスリリースをわかりやすく構成し直し、問い合わせ窓口も掲載

次いで、専用ページを訪問すると、プレスリリースの内容を一般のお客様が読んでもわかりやすくなるように、構成し直されています。
あわせて、問い合わせ窓口が赤囲みで掲載され、その赤囲みの中に、強調したいポイントも列挙されています。
※この赤囲みはベネッセホールディングスがしたものです

お客様に情報を伝えるというWebサイトに掲載することの役割を、よく理解した対応かと思われます。

ベネッセコーポレーションにおける個人情報漏えいに関するお知らせとお詫び(お問い合わせ窓口のご案内)

お客様からのよくある質問と回答のページ

さらに、特筆すべきは、「多く寄せられているご質問とその回答」のページの存在です。

大抵の場合、こうした良くある質問と回答(FAQ)のページが作られても、社内の目線で見た質問と回答だけで埋められていることが多いです。
しかし、ベネッセホールディングスの場合、お客様目線に立った質問と回答が数多く、しかも、日々、最新の質問と回答が追加掲載されています。

発表から日がない中で、ここまで充実させているのもまた評価されるべき点ではないかと思います。

多く寄せられているご質問

ブログ形式での日々の情報更新

そのうえで、「お客様へのご案内」「対策進捗」「プレスリリース」がブログ形式で、投稿されるようになっています。
正直、これらの内容は重複する部分もあるので統合してしまってもいいような気もしますが・・・。
とはいえ、ブログ形式、つまり、最新の情報が常に一番上に来るように情報がアップされているのは、他の企業では見られなかったパターンではないかと思います。

他の企業にとっては、危機管理対応として参考になる

今回のベネッセホールディングスのプレスリリース、Webサイトの作り込み方は、他の企業にとっても、事件・事故対応、危機管理対応として非常に参考になるものです。
役員間、総務・広報の各部署では、他社事例の分析として社内共有しておくべきかと思われます。

私が企業不祥事広報のセミナーなどでお話ししている内容がほとんどすべて網羅されている、という点でも、私の目から見たら十分な対応をしているなと感じます。
私に仕事振ってくれれば、もっと良かったのですが・・・。私の日常的な仕事は、こういう対応策の提案・助言ですので・・・。

会社の技術情報が漏えいする原因。従業員による情報流出と産業スパイは、こうして情報を盗み出す。

東芝、情報流出事件

今年の3月に東芝と業務提携の関係にあったサンディスクの社員が、東芝から技術情報を盗み出し、それを手土産に韓国SKハイニックスに役員待遇で転職した、という事件が報じられたことは、記憶に新しいと思います。

同時期に同じ会社に転職していた技術者がいたため、その技術者から通報があり、それをきっかけに全容が解明し、情報を持ち出した社員は不正競争防止法違反で逮捕され、東芝が韓国SKハイニックスに損害賠償請求を提起するという顛末になりました。

情報漏えい、情報流出の多くの動機は、身勝手なもの

東芝情報流出事件の動機は、降格処分に対して「見返してやろうと思った」

東芝のケースは、社員がサンディスクで降格処分になったために「見返してやろうと思った」という動機で情報流出を行ったとも報道されています。つまりは、個人的な身勝手な動機から情報を持ち出したというものです。

情報漏えい、情報流出が故意に行われる場合、多くは、こうした身勝手な動機によるものです。

三菱UFJ証券顧客情報漏えい事件の動機は、キャバクラの借金

2009年1月に、三菱UFJ証券のシステム部部長代理が、同社の顧客情報149万人分、企業情報122万件分をCD-ROMにコピーして、それを名簿業者に35万円で販売し、最終的に4社に転売されていた、という事件がありました。

システム部部長代理という地位にあるが故に、会社のデータベースにアクセス権を持っていたので、そのアクセス権を悪用した。
しかも、部長代理であるということで、自らはデータのコピーを行わずに、派遣社員に命じて行っていた。

システム部部長代理という、本来ならデータベースを管理しなければならない立場の者が、情報漏えいを行っていたという意味では、衝撃的な事件でした。また、会社側の損害は70億円以上であった、とも報道されています。

この事件の動機もまた「キャバクラの借金が500万円を超えていた」という自分勝手なものでした。
もっと言うと、システム部部長代理としてのストレスが溜まり、そのストレスを解消するためにキャバクラに通い詰めてしまい、その結果、借金が膨らんでしまった、というものでした。

ストレス解消方法なら他にもあっただろうに・・。
結局、この件では、システム部部長代理は2年の実刑判決を受けました。

産業スパイは、年月をかけて信頼関係を作り出す

産業スパイの罰則強化の動き

以上は、自社あるいは提携先の従業員による情報流出、情報漏えいのケースです。
これに対して「産業スパイ」と呼ばれる者による情報流出も存在します。

産業スパイは、当初から会社の技術情報を盗み出すことを目的で入社し、年月をかけて会社と信頼関係を築き上げたふりをして、最後に技術情報を盗み出すとともに会社を退職して姿を隠します。

映画の中の世界だけかと思われるかもしれませんが、現実に何件も発生しています。

そのため、日本でも産業スパイの罰則を強化しようという動きがあります。

「政府は6月に決める「知的財産推進計画2014」の原案をまとめた。企業の営業秘密を不正に漏らした産業スパイへの罰則(最高1千万円の罰金か10年以下の懲役あるいは併科)を強化し、被害者の告訴がなくても提訴できる「非親告罪」にする。来年の通常国会に関連法案を提出する。」(日本経済新聞2014年5月19日朝刊より)

アメリカIBM産業スパイ事件

古くは、1982年に発生した、日立製作所・三菱電機の社員らによるアメリカIBM産業スパイ事件が有名です。
日立、三菱電機の社員ら6人が、アメリカIBMから機密情報を盗み出そうとして、FBIに逮捕された、という事件です。

こちらのWebサイトで詳細が説明されています。

「電子産業史 1982年:IBM産業スパイ事件」

中国人の産業スパイ/ヤマザキマザック事件

最近発生した産業スパイ事件としては、ヤマザキマザック事件が存在します。

2006年4月に日本の大学を卒業した中国人が、ヤマザキマザックに入社した後、社内の営業部員に工作機械の性能などを説明する販売部営業係に配属されて業務に従事していました。
この中国人が、2012年3月12日に、中国にいる父の体調が悪いとして退職を申し出ました。
ちなみに、本当に、この中国人の父の体調が悪かったのかどうかはわかっていません。

この中国人は、退職を申し出た3月12日の直前直後である2012年1月から3月19日にかけて、軍事転用も可能な、ヤマザキマザックの工作機械の設計図面や販売情報をサーバーから大量にコピーし始めました。

それを不審に思った同僚が社内で通報し、情報流出が発覚。
3月16日に所轄の警察に相談、19日に本社と中国人の自宅に捜索が行われ、出国予定日として計画していた3月26日の翌3月27日に逮捕されました(今年の2月3日から刑事裁判が始まったということまでは報道されていましたが、その後どうなったかは不明です)。

この事件が産業スパイであるとしたら、入社から6年をかけて信頼関係を築き上げたところで、情報を不正に取得して、その直後に退職しようとしていた、ということがわかります。要するに、産業スパイとしての目的を達成するために、6年もの年月を費やした、ということです。

会社がとるべき対策は

東芝情報流出事件、三菱UFJ証券事件、ヤマザキマザック事件、いずれも情報漏えいが発覚したのは、機密情報、技術情報への短期間での大量アクセス、大量コピーのログ(電子上の記録)が残っていたこと、パソコンのIPアドレスがわかったこと、でした。

なお、ヤマザキマザック事件では、中国人は、特定のパソコンから情報にアクセスした足跡を残さないため、IPアドレスを変えるとの偽装もしていたと報じられています。

この結果からわかるのは、社内にシステム部があるような会社では、特定の機密情報、技術情報へのアクセスが急増していないか、情報のコピーが急増していないかをチェックする、もし急増が確認できたとしたら従業員にその理由を確認する(システム部から上司に報告をする。上司がグルな可能性もあるので、その場合も想定して複数の上司に報告するのがベターです)。
こうした仕組み作りをしておくことが、会社がとるべき対策だろう、と考えます。

同種事案が連続で発生した場合の情報保存管理体制に対する取締役の責任

秘密管理性に疑義がある企業秘密の漏えい

先日、会社にとっての企業秘密であっても、秘密管理の方法がずさんなら、不正競争防止法の「営業秘密」として、法的に保護されないとのエントリーを書きました。

情報管理のためにパスワードを設定しても、秘密管理がずさんなら「営業秘密」として保護されない

先日のエントリーのきっかけになったケースと同種の情報漏えい(情報紛失)が連続して発生しています。

「航空会社AIRDO(エア・ドゥ)の男性社員が、羽田空港の第1、第2ターミナルビルの職員専用エリア出入り口の暗証番号を記した紙を紛失していたことが2日、分かった。」(日本経済新聞平成26年5月2日(金)夕刊より)

「ANAホールディングスの子会社「ANAウイングス」の30代男性パイロットが、全国30以上の空港の関係者専用エリアに出入りできる暗証番号を記載したメモを一時紛失したことが2日、分かった。」「パイロットは4月25日未明、酒を飲んだ後、愛知県内のコンビニ店でかばんごとメモを置き忘れた。店員が約1時間後に愛知県警に届け、同日中にパイロットに戻った。」(日本経済新聞平成26年5月3日(土)朝刊より)

4月20日にスカイマークの社員が、暗証番号を書いた紙を20分間紛失して、暗証番号の変更を余儀なくされてから、わずか2週間足らずで2件の同種事案が発生したことになります。

航空会社の秘密管理性

エア・ドゥもANAウイングスも「暗証番号は暗号化」され、暗証番号を知った人が、そのままでは使えないように対処している点は、暗証番号が漏えいしたときのことを想定した予防策を講じていたということなので、この点は評価できると思います。

しかし、スカイマーク、エア・ドゥ、ANAウイングスの3社に共通しているのは、暗証番号を記載した紙を所持してたが故に、それを紛失した(暗証番号を紙に記載して持ち歩くことには対策を講じていなかった)、ということです。この点は非難されるべき点です。

そもそも暗証番号を紙に書いて持ち歩くことの是非については、先日のエントリーに書いたとおりです。
今日は、それとはまた違う角度から、暗証番号という情報のセキュリティ・情報管理に対する取締役の責任に触れてみたいと思います。

「情報保存管理体制」の整備についての取締役の責任

情報セキュリティの目的は、企業の損害発生の予防

企業が、情報セキュリティ対策を講じる最大の理由は、企業秘密や顧客情報などが漏えいして、漏えいの被害者(取引先や顧客)から企業に対する損害賠償を防ぐためです。裏を返せば、企業に個人情報を預けてくれた人に余計な損害を生じさせないように防ぐためです。
もう一つ付け加えるなら、企業の情報管理体制に対する世の中からの批判を防ぐ、情報管理に対する信頼を確保するためでもあるといえます。

このように情報セキュリティ対策を講じるのは、どちらかというと、企業が賠償を負担することがないようにとの企業危機管理的視点からの損害賠償対策に重きがおかれていました。

情報の保存管理体制の整備義務

しかし、企業の取締役・取締役会の立場に立って考えてみると、企業がこうした損害賠償対策を講じることは、単に、将来の損害賠償を予防するため、企業に個人情報を預けてくれた人に余計な損害を生じさせないようにするため、企業の信頼を維持するためだけを意味するものではありません。

取締役・取締役会にとっては、暗証番号を含む情報の保存管理をしなければならないことは法的な義務なのです。
取締役・取締役会は、いわゆる「内部統制システム」、会社法の言葉を用いれば「業務適正確保体制」を整備しなければならない法的義務を負います。
この「業務適正確保体制」の中には、「情報の保存及び管理に関する体制」を含むと定められています。
すなわち、取締役・取締役会は、「情報の保存及び管理に関する体制」を整備しなければならない法的義務を負っている、と理解できます
この保存・管理されるべき「情報」には、本件のような暗証番号は当然、含まれます。

企業が取り組むべき情報の保存管理体制の整備

航空会社各社が情報の保存管理体制としてルール化すべき内容

航空会社各社にて、一連の暗証番号の紛失が発生した原因は「従業員が暗証番号を記載した紙を紛失」したことでした。
この原因からは、そもそも、従業員が暗証番号を記載した紙を持ち歩くことがなければ問題は生じなかったはずである、ということがわかります。

そうだとすれば、取締役らは、暗証番号という情報の保存管理体制として、「従業員が暗証番号を紙に書き出さないようにする」あるいは「暗証番号を書き出した紙を持っている場合には持ち歩いてはいけない」といった、暗証番号を紙に書き出すことを禁止する、暗証番号が書かれている紙を持ち歩くことを禁止するところから体制を整備(ルール化)していかなければならない、ということになります。
紙への書き出しを禁止するのか、暗証番号が書かれた紙の持ち歩きを禁止するのかは、どちらがいいかは取締役らの裁量です。
今のように、暗証番号が漏えいしたときに備えて暗証番号をそのままでは使えないとする体制(ルール)だけでは、不十分ということです。

情報の保存管理体制を整備・改善する時期

では、取締役らは、いつ、こうした情報の保存管理体制の整備に取り組まなければならないでしょうか。答えは、「今すぐ」です。

一連の暗証番号の紛失事案が続いていますので、各企業の取締役は、暗証番号の紛失という危機の存在を知った状態にあります。
この場合、取締役は、暗証番号の紛失という危機を回避しなければなりません。
危機の存在をしっているからこそ、再発を予測できるし、再発を回避することもできます。
となると、暗証番号の紛失事案が続発している今こそ、こうした情報の保存管理体制の整備、改善に取り組まなければならないのです。

情報の保存管理体制の整備義務違反の責任

他方、今すぐには、暗証番号の保存管理体制を整備しないで放置していた。
整備するまでの間に、暗証番号が再度、外部に漏えいしてしまった。
そのうえ、今までの報道とは異なり、暗証番号を入手した第三者がそれを悪用して、空港内の立入禁止エリアや一時的な立入制限エリア、特に航空業務に支障が出るようなエリアへの立入などが発生してしまった。

こうした事態に至ってしまった場合、取締役は情報漏えいという危機の存在を知っていたのに、情報の保存管理体制を整備していなかったという評価になりかねません。
しかも、再発を予測して情報保存管理体制を整備することは容易に可能だったのに、整備しなかったという評価になります。

そうなれば、万が一、暗証番号を入手した第三者がそれを悪用し、航空業務に支障が生じるような事態に陥れば、取締役は情報の保存管理体制を整備する法的義務を履行していなかったことを理由に、法的責任(損害賠償など)を問われる可能性があります。

インターネット・エクスプローラー問題から、アプリケーション開発・作成業者の法的責任を考えてみる

インターネット・エクスプローラー問題

「インターネット・エクスプローラー(Internet Explorer) を使っていると、外部からパソコンを乗っ取られる可能性がある」との問題が報じられて、世間を賑わせています。

「マイクロソフトのネット閲覧ソフト「インターネット・エクスプローラー(IE)」のバージョン6から最新版までに未修正の欠陥が見つかったとして、使用を中止するよう警告した。代替ソフトを使うよう呼びかけている。第三者がパソコンを遠隔操作できる標的型攻撃を受ける恐れがある。」
(日本経済新聞平成26年4月29日(火)朝刊より)

この報道を受けて、GW前半明け初めてのウィークデーとなった4月30日には、仕事でインターネット・エクスプローラーの使用を禁じる、という会社が出ているようです。
その一方で、金融機関など、社内のシステムがインターネット・エクスプローラーを前提に開発されていて、インターネット・エクスプローラーを使用できないとなると仕事ができない、という会社もあるようです。

そもそも、マイクロソフト社は「代替ソフトを使うよう呼びかけている」とのことですが、インターネット・エクスプローラーを使っている会社は、GoogleChrome、Firefox、Safariなどの代替ソフトをダウンロードするためにインターネット・エクスプローラーを使用しなければならないという矛盾を抱えているのではありますが・・・(それは、さておき)

この問題についてユーザーが取るべき対処を、情報処理推進機構が発表しています。
http://www.ipa.go.jp/security/ciadr/vul/20140428-ms.html
↑こちらを参照されるのがわかりやすいかと思います。

システム、アプリ開発業者の法的責任

今回の件をきっかけに考えておきたいのは、報道後もインターネット・エクスプローラーを使い続けた。そうしたら、第三者から標的型攻撃を受け、パソコンを乗っ取られた。その結果、パソコンを外部から遠隔操作され、不正送金などをさせられた。なおかつ、パソコン内から自社の企業秘密、ID・パスワードのほか、取引先の企業秘密を盗み出された。このような場合に、欠陥・バグがあるアプリケーションを開発・作成・頒布している企業には法的責任は生じないのか、という問題です。

この問題を考えるに当たって参考になるのが、ジェイコム株式誤発注訴訟控訴審判決です(東京高裁平成25年7月24日)。

ジェイコム事件とは

ジェイコム事件とは、簡単に要約すると、みずほ証券が、東京証券取引所のシステムを利用して、ある株式について「61万円1株」と売り注文すべきところを、誤って「1円61万株」で売り注文し、その後に売り注文の取消注文をしたが、取消ができなかった。そこで、東京証券取引所に債務不履行(みずほ証券と東証との契約上の義務違反)と不法行為(売買停止義務違反)を理由に損害賠償請求を求めた、という事案です。

ジェイコム事件でシステム開発に関連した2つの争点-「債務不履行(不完全履行)」と「重大な過失」

この裁判ではたくさんの争点がありましたが、その中に、欠陥・バグがあるシステムを提供した企業の法的責任に関する言及がありました。
具体的には、東証がバグのあるシステムを証券会社に提供したことは不完全履行になるのかどうかという点と、不完全履行を履行したことに東証の重大な過失があるのかどうかという点です。

1つめの不完全履行の成否については、東京高裁は不完全履行になると判断しました。

本件売買システムには本件バグが存在し,本件売り注文に関して,本件売買システム上での取消処理が実現されないという本件不具合が発生した。したがって,被控訴人の負う適切に取消注文処理ができるコンピュータ・システムを提供する債務(狭義のシステム提供義務)の履行は不完全であった。」

2つめの重大な過失の有無については、東京高裁は重大な過失はないと判断しました。

本件においては,一定の蓋然性ある事実として,本件バグの発見等が容易であることを認定することが困難であったということに尽きる。争点の性質上,司法判断としてはやむを得ないところである。また,本件不具合が複数の条件が重なることにより発生する性質のものであったことも,被控訴人において,結果の予見が可能であり,かつ,容易であったとの認定を阻むものである。
 以上によると,本件においては,被控訴人の重過失(著しい注意義務違反)の要件である結果の予見が可能であり,かつ,容易であること,結果の回避が可能であり,かつ,容易であることが充足されていないことになる。したがって,被控訴人は,取消注文に対応することのできない売買システムを提供するという債務不履行があったが,重過失があったものと評価することはできない。」

この2つの争点のうち、1つめの不完全履行になるというのは、非常にわかりやすいです。
システムやアプリケーションを開発・作成・提供・販売している企業が注意をすべきは、2つめの重大な過失の有無についての裁判所の判断過程です。
どのような思考プロセスを経て、このような結論に至ったか、ということです。

「重大な過失」の判断過程

裁判所は、「バグを簡単に見つけられる」ということだけを理由にして、重大な過失の有無を判断していません。
これは重大な過失だけではなく、通常レベルの過失の有無の判断のときにも同じです。

重大な過失の有無を判断するにあたって、バグを簡単に見つけられるとしても、それによって、不具合が発生することまで予見できたか(想像できたか)、しかも、簡単に予見できたのか、ということを、まず判断します。
法律の世界では「結果予見可能性・容易性」と呼ばれる要件です。
この部分について、裁判所は、「不具合は複数の要件が重なることによって発生する性質のもの」などを理由にして、結果予見可能性・容易性はない、と判断しました。

もう一つ注意すべきは、万が一、不具合という結果の発生が予見できて、しかも、簡単に予見できるものと判断されたとしても、それでもまだ、重大な過失ありということにはならない、ということです。

結果の発生を避けることができ、しかも、それが簡単に避けられるのかどうか、ということが、次に判断されます。
法律の世界では「結果回避可能性・容易性」と呼ばれる要件です。
ジェイコム事件では、結果「予見」可能性・容易性がないことを理由に「重大な過失」はない、と判断したので、この「結果『回避』可能性・容易性」については判断するまでもありませんでした。

ジェイコム事件からシステム、アプリ開発業者が学ぶべきこと

さて、ジェイコム事件判決から、システムやアプリケーションの開発・作成企業は、何を学ぶべきでしょうか。

開発・作成過程で、バグの有無を検証するだけでは足りないということはわかると思います。
それに加えて、もしバグが存在したら、どんな問題が起きるのかを可能な範囲で想定しておくことも必要だということです。

どういうことかというと、不具合が発生した後に「まさか、このバグで、そんなことまで起きるとは思わなかった」と開発する側が思っていたとしても、「通常の技術レベルがあれば、そんなこと簡単にわかるだろ」というのであれば、結果予見可能性・容易性があったのに、予見していなかったという、重大な過失ありという方向に評価されていきます。
「通常の技術レベルを以てしても、そんなことが起きるとは想像もできない」というのであれば、結果予見可能性・容易性はなかったということで、重大な過失はなしという方向で評価されていきます。

つまり、社内の「通常の技術レベル」を日頃から高めておくことが必要だということです。
「あの会社の技術集団のレベルをもってしても開発時に気がつけないなら、しょうがない」と思われれば、重大な過失はない、という評価になっていきます。

一言でいえば、「SEをちゃんと勉強させましょう」・・・ということです(こんな簡単な一言まとめでいいのかな)。

インターネット・エクスプローラーを修正することなく使い続けた場合の法的責任

さて、インターネット・エクスプローラーの問題に話しを戻します。
今回、新聞・ニュースで大々的に報道されています。
しかも、企業によっては、インターネット・エクスプローラーを使用禁止とする会社が出ています。
さらに、マイクロソフト社も、当面の対応ということを発表しています。

この状況下でインターネット・エクスプローラーを使用し続けて、標的型攻撃を受けたら、悪いのは、マイクロソフト社よりも使用したユーザー側ということになりましょう。
もし、万が一、標的型攻撃を受け損害が発生して、マイクロソフト社に損害賠償を請求したとしても、マイクロソフト社の過失ありといえるのかどうか疑問です。
仮に、マイクロソフト社に過失があるという判断になったとしても、この状況下でインターネット・エクスプローラーを使い続けるユーザー側の非も相当に大きいのは間違いありません。
そうなると、相当程度、過失相殺され、ユーザーがマイクロソフト社を訴えたとしても、法的責任はあるけれど賠償金をとることは難しいということになりそうです。

それどころか、ユーザー側がインターネット・エクスプローラーを使い続けて、取引先の情報や顧客情報を漏えいなどしてしまったら、そのときには、ユーザー側が取引先や顧客から訴えられて、損害賠償責任を負うということになるかと思います。

 

【2014/05/02追記】
マイクロソフト社は、今日からインターネット・エクスプローラーの修正プログラムを配布し始めました。

情報管理のためにパスワードを設定しても、秘密管理がずさんなら「営業秘密」として保護されない

企業秘密(営業秘密)が不正競争防止法で保護されるための3要件

会社が業務の中で扱う情報の多くが、現在、デジタル化されています。
「企業秘密」と呼ばれる類のデータも、デジタル化され、パソコンやサーバーで管理されていることが増えてきました。

ここで、簡単に、教科書的に知識のおさらいをします。

「企業秘密」を第三者が不正に取得することや、第三者に不正に提供することは、不正競争防止法という法律で制限(禁止)されています。不正な取得や不正な提供がされれば、差し押さえたり、損害賠償請求することができます。

厳密には、不正競争防止法では「企業秘密」ではなく「営業秘密」と名前が変わります。
会社は秘密と思っていても、誰でもが既に知っている情報。
会社は秘密として保護に値する価値があると思っていても、何の役にも立たない情報、価値のない情報。
会社は秘密と思っていても、管理がずさんで誰でも見られるような情報。
(上から順に「非公知性」「有用性」「秘密管理性」の要件と言われたりします)
これらの情報は、会社は「企業秘密」と思っていても、法律が保護する必要性がありません。
そこで、これらの情報を「企業秘密」から除外したものを、「営業秘密」と呼んで、不正競争防止法で保護しています。

と、ここまでが教科書の知識です。ふーっ。つまらない。

「秘密管理性」を欠けば「営業秘密」として保護できない

この中で、会社の立場で、意外に見落とされがちなのが「会社は秘密と思っていても、管理がずさんで誰でも見られるような情報」は「営業秘密」に該当しない、という部分です。
ここが何を意味しているかというと、会社が「秘密」をどのように管理しているか、その管理方法次第では、法律で保護してもらえない、ということです。

顧客情報、取引先との営業活動や取引履歴の情報、契約内容、研究開発のデータなどがデジタル化され、会社のパソコンや共有サーバーに保存されているということは、よくあります。
これらのデジタル化された情報を社内の誰でもが見られるようになっていれば、会社は「秘密」として管理していない、逆から言えば、誰でも見ていいと「オープン」に管理していることになります。つまり、保護の対象外ということです。

そこで、よく見られるのが、デジタル化された情報を見られる役員、職員を限定して「秘密」に管理する、という管理方法です。
実際に、特定の情報にはIDとパスワードを入力しないと中を見ることができない、IDとパスワードを限定した者にだけ配布、という管理方法にしている会社も多いだろうと思われます。

ただし、特定の情報にIDとパスワードを設定し、限定した者にだけ配布していても、そのIDとパスワードが誰でもが見られる状態になっていれば、IDとパスワードを設定したことが意味をなしません。
その場合には、管理がずさんなので「オープン」に管理しているということになるだろうと思います。
典型的なのが、IDとパスワードを付箋に貼って、パソコンなどに貼り付けておく、というパターンです。
IDとパスワードの種類が多ければ多いほど、「そんなに覚えられない。忘れたら仕事で困る。だから貼っておく」ということになりがちです。

秘密管理に問題があった事例とその対処

この秘密管理に関連して、次のような事件が報道されました。

「国交省によると、スカイマークの従業員は20日午後1時半ごろ、空港第1ターミナルで暗証番号を書いた紙をなくしたことに気付いた。約20分後に空港関係者が出発ロビーで紙を発見した。発見されるまでに誰かの目に触れた可能性もあるため、変更を指示した」

(日本経済新聞平成26年4月22日(火)朝刊より)

ここで目を引くのは、「暗証番号を紙に書いていた」「(紛失から)約20分後に空港関係者が紙を発見した」「誰かの目に触れた可能性があるため、変更を指示」という3点です。

まず、「暗証番号を紙に書いていた」という点。
推測すると、暗証番号を紙に書いた状態でその紙を持ち歩いていた、ということだと思います。
暗証番号は、IDとパスワードと同じように、情報に接することができる人を制限するためのものです。
そういった意味を持つ暗証番号を、従業員が紙に書いて持ち歩くことが本当に許されることだったのか。
再発を防止するためには、そこから検証した方がよいのではないか
と思います。

賛否両論あると思います。
暗証番号を紙に書いて持ち歩いた状況がどんな場面だったのか。どんな必要性があって、紙に書いて持ち歩いていたのかも、新聞紙面からはわかりません。
しかし、この原因を検証しないで、暗証番号を紙に書いて持ち歩くことが日常化してしまえば、再度、紙を紛失するということが繰り返されるおそれがあります。
そうなれば、パソコンにIDとパスワードを貼っていて、それを他人が見たというのと、秘密管理の程度についての評価は変わらなくなっていきます。

他方で、「20分後に発見」「誰かの目に触れた可能性もあるため」「変更を指示」という点。
ここは対応としては適切だったと思います。
暗証番号を書いた紙が手元になかった時間は20分かもしれません。しかし、その20分間に誰かが見た可能性があるかもしれません。
その日は暗証番号を悪用しないかもしれません。でも、後日、悪用するかもしれません。
そうした「かもしれない」というリスクを想定して、「変更を指示」という対処は、事後対応としては適切だったかと思います。

事後対応が適切だっただけに、これからの再発防止のためにどう対処したらよいか、つまり、暗証番号を紙に書いて持ち歩くことの是非を忘れずに検証してほしいのです。
そうしないと、危機管理の意識が高いのか、低いのか、よくわからない、どっちつかずとも言えてしまうかもしれません。

参考までに・・注意喚起の工夫例

話しはまったく違いますが、飛行機繋がりということで1つ追加でお話しします。

先日、スターフライヤーという機体が黒くカラーリングされた飛行機に乗ったときのことです(基本はANA派です)。

飛行機に乗ると、離陸前にベルト着用の注意、救命胴衣、酸素マスクなどの注意が必ず行われます。
ANA、JALなどでは、地味な模範ビデオが流れるだけなので、正直、あんまり見てません退屈です。
しかし、スターフライヤーが違うところは、忍者をモチーフにして、見てる人が楽しめるようなビデオにしていることです。
否が応でも「おもしろいな」と、見入ってしまいます。後ろの席に座っていたおばちゃんたちご婦人の団体方は爆笑しながら見てました。
結果として、ビデオを見入った人には注意が伝わることになります。

こうした注意が乗客に伝わる工夫をすることも、危機管理の手法として、非常に学べるかと思います。
実は、これは飛行機の注意というだけではなく、実は、コンプライアンス教育、社内研修でも気をつけるべき点でもあります。
教育、研修と危機管理については、また別の機会で書きたいと思います。

出世の仕組みを変えない限り、失敗やミスの隠蔽・改ざんを予防することはできない

失敗やミスをしたときに、自分の非や責任を認めることは、非常にストレスが強いものです。
人は自分が責められることを嫌うからです。

しかし、企業で働く以上、仕事の中で失敗やミスをしてしまったときには、ただちに、それを訂正し、またその仕事に関わる人・会社に報告しなければなりません。

ところが、仕事の中で失敗やミスをしてしまったときにも、自分の非や責任を認めたくないという態度が現われる場合があります。
自分の非や責任を認めないと突っぱねているだけなら、まだマシかもしれません。
酷いものになると、自分の非や責任の証拠を消し去る作業が行われます。
「隠蔽」や「改ざん」と呼ばれる作業です。
議事録を改ざんする、業務報告書を改ざんする、社内資料を隠してしまうなど・・・企業不祥事が発覚するときには、ほぼ必ずといっていいほど、「隠蔽」「改ざん」はセットで行われています

不祥事の発覚後に、遡って、社内資料などを「隠蔽」「改ざん」していたことが発覚した場合、その企業に対する評価は地に落ちます。
改善するつもりがないと世間から評価され、批判を浴びます。
不祥事の原因が、日常的な「隠蔽」「改ざん」である場合には、たとえ、それを個人が勝手に行っていたとしても、その企業の情報管理体制、その企業の組織的なコンプライアンスへの意識の低さが疑われます。

最近は「隠蔽」や「改ざん」がしやすくなってきました。
かつては、議事録や業務報告書などの文書はボールペンによる手書きで作成されていました。
ボールペンによる手書きの場合、そこに書かれた内容を「隠蔽」「改ざん」しても、不自然なところがあるのでわかりやすい傾向にあります。
文字を書き足した痕跡がある。インクの色や濃度が違う。見た目でわかりやすくかったです。

ところが、文房具が進化すると、ボールペンによる手書きの文書も「隠蔽」「改ざん」されやすくなります。
実際に、行政機関で、消せるボールペンを使って、手書き文書の「隠蔽」「改ざん」が行われているという報道がされています。

「川崎市は3月に公表した定期監査で、財務に関する書類など計57件に職員が消せるボールペンを使用していたと発表。文字が薄かったため判明したという。名古屋市でも昨年5月公表の監査で出張書類などでの使用が明らかになった。」

「千葉県警は昨年11~12月、車庫証明書を偽造したとして中古車販売会社の社員ら4人を有印公文書偽造・同行使容疑で逮捕した。社員らは消せるボールペンで書いた在庫車の車庫証明書を正規に取得。新たに車を仕入れた際の証明書取得の手間を省くため、車名などを消して書き換える手口で少なくとも435台分を偽造したとみられる。」

「茨城県土浦市消防本部の30代の男性職員は消せるボールペンで勤務管理表を書き、上司の決裁後、市人事課に持ち込む間に残業時間を水増し。約70万円を不正受給したとして懲戒免職となった。」

(日本経済新聞平成26年4月19日(土)夕刊より)

最近は、ボールペンでの手書きよりも、パソコンで作成されるデジタル文書も増えてきました。
そうしたデジタル文書は、手書きよりも巧妙に、バレにくいように、一旦作成した後に文字や文章を追加したり、訂正したりすることができます。
それだけ、「隠蔽」「改ざん」しやすい、ということです。

ボールペンでの手書きによる「隠蔽」「改ざん」が上記報道のように行われているのだとすれば、デジタル文書での「隠蔽」「改ざん」は、もっと行われている、と考えていいと思います。
報道された「隠蔽」「改ざん」は、氷山の一角だと理解して良いでしょう。

では、どうすれば、「隠蔽」「改ざん」がなくなるでしょうか。

上の記事によると・・

「消せるボールペンは行政文書で使わないように」。川崎市の担当者は今月、新人職員約180人の研修で呼びかけた。

呼び掛けが行われた、ということだそうです。

しかし、どんなに従業員に呼び掛けをしても、消えるボールペンを使うことはなくなっても、「隠蔽」「改ざん」はなくならないと思います。
なぜかといえば、今の企業の多くが、一度でも失敗やミスをすれば、その従業員を出世コースから外し、半永久的に戻ってこられないという人事制度になってしまっているからです。
つまり、従業員が失敗やミスをすることに対し企業が寛容ではないので、従業員は出世コースから外れたくないとの思いから失敗やミスを必死で隠す、という悪循環になってしまっているのです。
これは、一度でも失敗やミスをすれば、自分自身のことは横に置き、さも鬼の首を取ったように騒ぎ、失敗やミスした人を非難する、揚げ足をとり続ける、という低俗な人たちの気質に由来しているような気がしてなりません。
この人事のあり方を変えない限り、従業員は失敗やミスを必死で隠すという自己防衛策を手放すことはないでしょう。
その意味で、企業の人事評価を変えることも、企業の「危機管理」「リスクマネジメント」として捉えるべき事柄だと思います。
そのように人事評価、人事制度が変わっていけば、わざわざ「内部告発」という形を待つまでもなく、自分から失敗やミスを進んで報告するということにつながるはずです。